node.js - npm install 漏洞对于不同的项目是不同的

Question

为什么在两个不同的项目上安装同一个节点包会导致两个不同的审计结果？一个没有漏洞，一个有两个。

我可以根据需要使用有关项目的信息来编辑此描述。

一个项目不包含其他模块，一个项目包含大量模块。它们在同一台计算机上运行。

Answer 1

每次运行时npm install，它都会收集添加到项目中的所有依赖项的描述，将其发送到注册表并要求报告已知漏洞。所以不同输出的原因是在第二个项目中你确实有一些易受攻击的依赖项。

您可以运行npm audit以查看有关第二个项目中易受攻击的依赖项的详细信息。

如果您不想npm install审核依赖项，可以使用--no-audit参数运行它。